想要更高的安全性？那就先让安全变得更简单 —— 新思科技亮相RSA大会 解析安全的“人为因素”

RSA 2020

RSA 2020安全大会在美国旧金山举行，期间有一场 DevOps Connect：DevSecOps Days 全天系列会议备受瞩目，通过小组讨论和主题演讲等形式探讨企业如何将安全更加无缝地内置到软件开发和运营中。

新思科技是该系列会议的赞助商，在RSA大会上宣布了近期的新举措，以支持DevOps的安全组件更加易用。

Polaris

首先，新思科技发布Polaris软件完整性平台的重大更新，通过Code Sight IDE 插件的本机集成将其静态应用安全测试（SAST）和软件组成分析（SCA）的功能扩展到开发人员的桌面。这些功能在同类解决方案中是史无前例的，将使开发人员能够主动查找并修复专有代码中的安全缺陷以及开源代码依赖项中的已知漏洞，而无需离开他们的交互式开发环境（IDE）。

简而言之，这将使得软件构建更加安全、简易和快速。

新思科技产品营销总监Patrick Carey指出开发团队与安全之间持续存在紧张关系的原因：开发人员将安全视为“具有破坏性的”。

为什么这么说呢？

在标准工作流程中报告缺陷时，开发人员已移至下一个任务。要纠正问题，他们必须中断正在做的事情，然后返回，重新打开代码，进行修复，然后重新测试。但是，最新版本的Code Sight IDE 插件通过帮助开发人员在构建软件时发现并解决专有和开放源代码的问题来解决这个冲突，而不是切换工具或中断他们的工作流程。

Patrick Carey表示：“这将从根本上改变开发人员在开发过程中检测、分析和补救安全风险的方式。”

软件安全迁移

Sammy Migues在RSA大会上发表了“下一代软件安全迁移”(The next great software security migration)的演讲。Sammy Migues是新思科技软件安全构建成熟度模型(BSIMM)联合作者之一，从第一个版本就已经参与报告的编写。2019年发布的第十个版本 BSIMM10已经强调这些变化。

Sammy Migues介绍道：“这些变化有可能解决大家都对当今的软件安全计划(SSI)不满意的许多问题，包括对抗性关系、不合理的磨擦、人工密集的工作、容易出错的过程以及系统上有缺陷的软件。”

以不降低速度的方式将安全性引入软件开发中。“充分利用敏捷过程、CI / CD工具和DevOps文化的优势，使我们能够消除一些技术债务，定义一些策略，进而做出我们期待的改变。”

人文因素

"文化”是DevSecOps Days活动的主要议题。在一场“ DevSecOps和破坏性发展”的小组讨论中，与会人员同意将这三个团队结合在一起并不是技术问题，而是人为问题，这与今年RSA大会的主题非常契合：“人为因素” (Human Element)。

该小组讨论的成员包括Equifax首席转型官Sean Davis； Attivo Networks顾问Chris Roberts；英特尔全球网络安全政策总监Amit Elazari；主持人Charlene Li（The Disruption Mindset《颠覆性思维》的作者）。他们都认为变革是“痛苦的”，也需要人的合作，这是取得进步的唯一途径。

Sean Davis表示：“开发、安全和运营团队互相有怨言，他们并不理解不同团队的工作或者彼此也不沟通。这些团队的领头人能将不同团队的人员凝聚在一起，才有更大的机会取得成功。”

Chris Roberts表示：“这意味着不同团队的协作，而不是单打独斗。如果完全独立运作，可能实现不了目标；携手合作则更容易向成功迈进。当遇到问题的时候，需要想的是我们 – 而不是我，要如何解决问题。"